Trojan-Downloader.Win32.Delf.aex手动清除方法

<BR>&nbsp; &nbsp;
<P>　　病毒描述：</P>
<P>　　该病毒属木马类。病毒使用Windows图片浏览器的图标，用以迷惑用户点击运行。病毒运行后，复制自身到系统目录%WINDIR%下，释放病毒文件，修改注册表，添加启动项，以达到随机启动的目的，连接网络，开启本地端口，下载病毒文件，修改用户QICQ密码，盗取用户的敏感信息，并使QICQ带有“QQ尾巴”，自动发送含有被挂马的网站信息，终止反病毒软件的进程，阻止杀毒软件的安装。该病毒对用户有较大危害。</P>
<P>　　行为分析：</P>
<P>　　1、病毒使用Windows图片浏览器的图标，用以迷惑用户点击运行。</P>
<P>　　2、病毒运行后，复制自身到系统目录%WINDIR%下，释放病毒文件：</P>
<P>　　%WINDIR%\niw.exe</P>
<P>　　%system32%\impai.exe</P>
<P>　　3、修改注册表，添加启动项，以达到随机启动的目的：</P>
<P>　　修改的注册表项：</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile</P>
<P>　　\shell\open\command</P>
<P>　　原键值：字串："默认"="%SystemRoot%\system32</P>
<P>　　\NOTEPAD.EXE %1."</P>
<P>　　修改的键值：字串："默认"="C:\WINDOWS\system32</P>
<P>　　\impai.exe "%1""</P>
<P>　　新建注册表项：</P>
<P>　　HKEY_CURRENT_USER\Software\Microsoft\Windows</P>
<P>　　\CurrentVersion\Run</P>
<P>　　键值: 字串: "NIW "="C:\WINDOWS\NIW.exe"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Run</P>
<P>　　键值: 字串: "Desktop"="C:\WINDOWS\system32</P>
<P>　　\rundll32.exe"</P>
<P>　　"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\</P>
<P>　　{08A312BB-5409-49FC-9347-54BB7D069AC6}\</P>
<P>　　键值: 字串: "默认"="MonitorURL Class"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\</P>
<P>　　{08A312BB-5409-49FC-9347</P>
<P>　　54BB7D069AC6}\InprocServer32\</P>
<P>　　键值: 字串: "默认"="C:\PROGRA~1\DESKAD~1</P>
<P>　　\deskipn.dll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID</P>
<P>　　\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\</P>
<P>　　键值: 字串: "ThreadingModel "="Apartment"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\</P>
<P>　　{08A312BB-5409-49FC-9347-54BB7D069AC6}\ProgID</P>
<P>　　键值: 字串: "默认"="MonitorIE.MonitorURL.1"</P>
<P>HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\</P>
<P>　　{08A312BB-5409-49FC-9347</P>
<P>　　54BB7D069AC6}\VersionIndependentProgID</P>
<P>　　键值: 字串: "默认"="MonitorIE.MonitorURL"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.</P>
<P>　　MonitorURL.1</P>
<P>　　键值: 字串: "默认"="MonitorURL Class"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.</P>
<P>　　MonitorURL.1\CLSID</P>
<P>　　键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL</P>
<P>　　键值: 字串: "默认"="MonitorURL Class"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.</P>
<P>　　MonitorURL\CLSID</P>
<P>　　键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.</P>
<P>　　MonitorURL\CurVer</P>
<P>　　键值: 字串: "默认"="MonitorIE.MonitorURL.1"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\</P>
<P>　　{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\0\win32</P>
<P>　　键值: 字串: "默认"="C:\Program Files\DeskAdTop\deskipn.dll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\</P>
<P>　　{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0</P>
<P>　　键值: 字串: "默认"="MonitorIE 1.0 Type Library"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\</P>
<P>　　{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\</P>
<P>　　键值: 字串: "HELPDIR"="C:\Program Files\DeskAdTop\"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\</P>
<P>　　键值: 字串: "DownloadManager"="C:\WINDOWS\system32</P>
<P>　　\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Uninstall\桌面媒体</P>
<P>　　键值: 字串: " DisplayName "="桌面媒体"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Uninstall\桌面媒体</P>
<P>　　键值: 字串: "SetupPath"="C:\Program Files\DeskAdTop\"</P>
<P>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Uninstall\桌面媒体</P>
<P>　　键值: 字串: "UninstallString"="C:\Program Files\DeskAdTop\DeskUn.exe"</P>
<P>　　4、连接网络，开启本地端口，下载病毒文件：</P>
<P>　　协议：TCP</P>
<P>　　端口：随机开启本地1024以上端口，如：1124</P>
<P>　　IP地址：210.51.168.69</P>
<P>　　下载的病毒文件：</P>
<P>　　%system32%\tmdown.exe</P>
<P>　　%system32%\tmdown1.exe</P>
<P>　　%Program Files%\deskadtop\_uninstall</P>
<P>　　%Program Files%\deskadtop\allverx.dat</P>
<P>　　%Program Files%\deskadtop\deskipn.dll</P>
<P>　　%Program Files%\deskadtop\DeskUn.exe</P>
<P>　　%Program Files%\deskadtop\Mrup.exe</P>
<P>　　%Program Files%\deskadtop\Run.dll</P>
<P>　　%Program Files%\deskadtop\sinfo.ini</P>
<P>　　5、修改用户QICQ密码，盗取用户的敏感信息，并使QICQ带有“QQ尾巴”，自动发送含有被挂马的网站信息：</P>
<P>　　QQ尾巴内容为：</P>
<P>　　咱们老同学的校友录有新留言了,你看看吧!</P>
<P>　　<A href="http://www.0451m***.com/img/chianren.htm"><U><FONT color=#0000ff>http://www.0451m***.com/img/chianren.htm</FONT></U></A></P>
<P>　　6、终止反病毒软件的进程，阻止杀毒软件的安装。</P>
<P>　　注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。</P>
<P>　　清除方案 ：</P>
<P>　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。</P>
<P>　　(1) 使用安天木马防线“进程管理”关闭病毒进程</P>
<P>　　(2) 删除病毒文件</P>
<P>　　%WINDIR%\niw.exe</P>
<P>　　%system32%\impai.exe</P>
<P>　　%system32%\tmdown.exe</P>
<P>　　%system32%\tmdown1.exe</P>
<P>　　%Program Files%\deskadtop\_uninstall</P>
<P>　　%Program Files%\deskadtop\allverx.dat</P>
<P>　　%Program Files%\deskadtop\deskipn.dll</P>
<P>　　%Program Files%\deskadtop\DeskUn.exe</P>
<P>　　%Program Files%\deskadtop\Mrup.exe</P>
<P>　　%Program Files%\deskadtop\Run.dll</P>
<P>　　%Program Files%\deskadtop\sinfo.ini</P>
<P>　　(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项</P>
<P>　　修改注册表项：</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile</P>
<P>　　\shell\open\command</P>
<P>　　键值：字串："默认"="C:\WINDOWS\system32</P>
<P>　　\impai.exe "%1""</P>
<P>　　改为：</P>
<P>　　键值：字串："默认"="%SystemRoot%\system32</P>
<P>　　\NOTEPAD.EXE %1."</P>
<P>　　删除以下注册表项：</P>
<P>　　HKEY_CURRENT_USER\Software\Microsoft\Windows</P>
<P>　　\CurrentVersion\Run</P>
<P>　　键值: 字串: "NIW "="C:\WINDOWS\NIW.exe"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Run</P>
<P>　　键值: 字串: "Desktop"="C:\WINDOWS\system32</P>
<P>　　\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID</P>
<P>　　\{08A312BB-5409-49FC-9347-54BB7D069AC6}\</P>
<P>　　键值: 字串: "默认"="MonitorURL Class"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID</P>
<P>　　\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\</P>
<P>　　键值: 字串: "默认"="C:\PROGRA~1\DESKAD~1\deskipn.dll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID</P>
<P>　　\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\</P>
<P>　　键值: 字串: "ThreadingModel "="Apartment"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID</P>
<P>　　\{08A312BB-5409-49FC-9347-54BB7D069AC6}\ProgID</P>
<P>　　键值: 字串: "默认"="MonitorIE.MonitorURL.1"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID</P>
<P>　　\{08A312BB-5409-49FC-9347-54BB7D069AC6}\VersionIndependentProgID</P>
<P>　　键值: 字串: "默认"="MonitorIE.MonitorURL"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.</P>
<P>　　MonitorURL.1</P>
<P>　　键值: 字串: "默认"="MonitorURL Class"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.</P>
<P>　　MonitorURL.1\CLSID</P>
<P>　　键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL</P>
<P>　　键值: 字串: "默认"="MonitorURL Class"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.</P>
<P>　　MonitorURL\CLSID</P>
<P>　　键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"</P>
<P>HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE</P>
<P>　　.MonitorURL\CurVer</P>
<P>　　键值: 字串: "默认"="MonitorIE.MonitorURL.1"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\</P>
<P>　　{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\0\win32</P>
<P>　　键值: 字串: "默认"="C:\Program Files\DeskAdTop\deskipn.dll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib</P>
<P>　　\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0</P>
<P>　　键值: 字串: "默认"="MonitorIE 1.0 Type Library"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\</P>
<P>　　{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\</P>
<P>　　键值: 字串: "HELPDIR"="C:\Program Files\DeskAdTop\"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\</P>
<P>　　键值: 字串: "DownloadManager"="C:\WINDOWS\system32</P>
<P>　　\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Window</P>
<P>　　s\CurrentVersion\Uninstall\桌面媒体</P>
<P>　　键值: 字串: " DisplayName "="桌面媒体"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Uninstall\桌面媒体</P>
<P>　　键值: 字串: "SetupPath"="C:\Program Files\DeskAdTop\"</P>
<P>　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows</P>
<P>　　\CurrentVersion\Uninstall\桌面媒体</P>
<P>　　键值: 字串: "UninstallString"="C:\Program Files</P>
<P>　　\DeskAdTop\DeskUn.exe"</P> <BR>